Gwrthodiad geoleoliad Firebox: darganfyddwch gam mynediad VPN yn gyntaf

Mae rhywun mewn gwlad arall yn methu cysylltu, a'r reddf gyntaf yw edrych ar y rheol sy'n rhoi mynediad at adnoddau mewnol. Mae'r rheol honno'n rhedeg ar ôl derbyn, felly ni all fod yr hyn sy'n gwrthod y tiwnel. Mae'r cam sy'n blocio yn rhywle ar y llwybr mynediad, ac mae gan y Firebox fwy nag un llwybr mynediad yn dibynnu ar y gwasanaeth VPN. Ewch drwy'r gwiriadau yn eu trefn a stopiwch gynted ag y bydd un ohonynt yn esbonio'r gwrthodiad.

Gwiriad 1: enwch y gwasanaeth sy'n dod i mewn

Ar gyfer Mobile VPN gyda SSL, Access Portal a BOVPN dros TLS, y mynediad sy'n dod i mewn yw polisi WatchGuard SSLVPN. Cymhwyswch y cyfyngiad arfaethedig yno, ar y gwasanaeth a ffurfweddwyd mewn gwirionedd, yn lle ei gasglu o reol mynediad defnyddiwr sy'n rhedeg yn ddiweddarach.

Mae IPsec yn cymryd llwybr gwahanol. Mae'r polisi IPSec adeiledig yn caniatáu traffig IPsec allanol i'r Firebox ar gyfer y gwasanaethau cangen a VPN symudol perthnasol, ac mae'n cael blaenoriaeth dros bolisi IPSec a grëwyd â llaw. Os yw eich cleient yn IKEv2, rydych ar yr ail lwybr hwnnw, ac mae'r polisi SSLVPN yn amherthnasol.

Mae cael hyn yn anghywir yw'r prynhawn mwyaf cyffredin a wastrafir yn y maes hwn: golygu polisi nad yw byth yn gweld y pecyn, yna dod i'r casgliad nad yw'r cyfyngiad yn gweithio.

Gwiriad 2: darllenwch y gwrthodiad, nid y damcaniaeth

Gwnewch un ymgais a ganiateir ac a reolir, a chydberthnaswch bedwar peth: cyfeiriad ffynhonnell cyhoeddus y cleient, y gwasanaeth mynediad y tarodd, y polisi a gydweddodd, ac unrhyw reswm Gwrthod yn y cofnod. Mae canllaw datrys problemau IKEv2 WatchGuard yn nodi y gall geoleoliad a thrin pecynnau diofyn wrthod traffig cyn derbyn y polisi adeiledig, sy'n golygu y gall y gwrthodiad a welwch enwi cam nad ydych wedi'i ystyried.

Mae dosbarthiad gwlad yn dilyn y ffynhonnell rwydwaith a arsylwyd. Gall defnyddiwr sy'n crwydro, NAT uwch yn y gadwyn neu lwybr cymeradwy gwahanol newid yr hyn y mae'r Firebox yn ei weld, felly cadarnhewch y cyfeiriad yn hytrach na disgrifiad y defnyddiwr o ble mae. Gofynnwch am y cyfeiriad cyhoeddus y mae'r cleient yn ei weld, a chymharwch ef â'r ffynhonnell yng nghofnod y Firebox. Pan fyddant yn wahanol, mae'r dosbarthiad yn dilyn llwybr na soniodd neb amdano.

Gwiriad 3: a yw'r polisi adeiledig yn dal yn berchennog?

Os yw'n ymddangos bod polisi IPSec â llaw yn cael ei anwybyddu, gwiriwch a yw'r un adeiledig yn dal wedi'i alluogi. Mae rheol â llaw sy'n cael ei chysgodi gan reol adeiledig â blaenoriaeth uwch a rheol â llaw sef yr unig dderbyniad yn ffurfweddiadau gwahanol ag edrychiad tebyg ar y rhyngwyneb.

Penderfynwch pa un y dymunwch fod yn berchen ar y llwybr. Os mai'r polisi â llaw yw hi, rhaid analluogi'r un adeiledig ar gyfer y traffig hwnnw, a dyna lle mae'r gwiriad nesaf yn dechrau.

Gwiriad 4: cynlluniwch yr amnewidiad cyn analluogi

Mae analluogi'r polisi IPSec adeiledig yn tynnu ei dderbyniad ar gyfer y gwasanaethau VPN yr effeithir arnynt. Mae hynny'n cynnwys tiwneli cangen na fyddwch efallai'n meddwl amdanynt wrth drwsio cysylltiad un defnyddiwr symudol.

Cynlluniwch yr amnewidiad cyflawn yn gyntaf: pa wasanaethau sydd angen derbyniad, pa gwmpasau ffynhonnell y byddant yn eu cael, a sut y byddwch yn rheoli'r blwch os aiff y newid o chwith. Cadwch lwybr rheoli ac adfer annibynnol ar agor, oherwydd gall camgymeriad yma ddileu'r tiwnel y byddech yn ei ddefnyddio i'w drwsio. Nodwch y camau adfer yng nghofnod y newid, gan gynnwys sut i gyrraedd y blwch os yw'r llwybr VPN wedi mynd. Yna profwch adnewyddiad, nid yn unig y cysylltiad cyntaf.

Gall cysylltedd gweithredol ac ailnegodi diweddarach ddibynnu ar dderbyniad. Mae newid sy'n gweithio ar gyfer y sesiwn a brofwyd ac yn methu yn y newid allwedd nesaf yn ganlyniad clasurol i amnewid derbyniad heb brofi adnewyddiad.

Gwiriad 5: cadwch hunaniaeth ar wahân i leoliad

Mae geoleoliad yn ychwanegu cyd-destun at benderfyniad mynediad. Nid yw'n sefydlu pwy yw'r defnyddiwr, ac ni ddylai ddisodli gwiriadau hunaniaeth y porth, awdurdodi cyfrif nac MFA.

Os mai'r gofyniad busnes yw defnyddwyr cymeradwy o leoedd cymeradwy yn unig, mae angen y ddau reolaeth arnoch. Nid yw rheol lleoliad sy'n derbyn gwlad gyfan yn amnewid i ddilysu, ac mae defnyddiwr dilysedig mewn gwlad a flociwyd yn gwestiwn polisi yn hytrach na byg.

Gwiriad 6: cofnodwch ef a gwirio'r ddau lwybr

Ysgrifennwch y gwasanaeth, y polisi mynediad, cwmpas lleoliad arfaethedig, yr eithriadau a'r perchennog adfer. Yna profwch y llwybr symudol ac o leiaf un llwybr safle ar ôl y newid, fel bod y cyfyngiad yn aros ynghlwm wrth y gwasanaeth y'i cynlluniwyd i'w reoli.

Yn olaf, ail-ddarllenwch y gwrthodiad y gwnaethoch ddechrau ag ef. Os yw wedi newid o wrthodiad lleoliad i fethiant dilysu neu awdurdodi, mae'r broblem mynediad wedi'i datrys ac mae un arall bellach yn weladwy. Canllaw WatchGuard ar wrthodiadau IKEv2 yw'r cyfeirnod ar gyfer y drefn camau a ddisgrifiwyd uchod.